Requisitos Legais para Sites e Aplicativos: Estados Unidos

As obrigações dos sites nos EUA dependem do estado, do negócio e dos dados. As leis de privacidade estaduais abrangentes geralmente possuem limites ou isenções, enquanto as regras de proteção ao consumidor, privacidade infantil, dados de saúde, marketing e acessibilidade usam testes de escopo diferentes. Não presuma que um produto novo ou pequeno está fora de todas as leis de privacidade. Comece com seus clientes reais, modelo de cobrança, marketing e recursos de dados sensíveis. As prioridades dependem desses fatos; não há evidências aqui para um ranking universal de qual processo judicial um fundador enfrentará primeiro. Este é o capítulo dos EUA da nossa lista de verificação jurídica pré-lançamento — execute essa sequência de comandos primeiro e, em seguida, aplique o que está aqui.

Principais pontos

• Avalie o escopo, os limites e as isenções de cada estado; não confie em uma contagem genérica de usuários.
• As regras de COPPA, dados de saúde, biometria e marketing têm seus próprios gatilhos.
• A acessibilidade possui aplicação pública e privada; uma verificação automatizada não é uma certificação.
• A regra de opção negativa da FTC de 2024 foi anulada; as leis de assinatura existentes ainda são importantes.
• Verifique os desenvolvimentos atuais nos tribunais e nas lojas de aplicativos antes de implementar sinais de idade estaduais.
• Impostos, segurança de pagamentos, direitos autorais e divulgações de afiliados precisam de verificações separadas.

Quem as leis de privacidade estaduais realmente alcançam

Não use um limite genérico de 100.000 usuários. A Califórnia possui testes alternativos de receita, volume e venda/compartilhamento; outros estados usam critérios diferentes. O Texas geralmente isenta pequenas empresas definidas pela SBA, mas mantém o dever de consentimento para venda de dados sensíveis. Verifique a lei atual para cada estado que você atende.

Se coberto, avalie avisos, solicitações de direitos, publicidade direcionada e escolhas de venda/compartilhamento, sinais universais de opt-out e avaliações de risco. Consulte a explicação do escopo do Procurador-Geral do Texas.

As regras sem limite de tamanho

Crianças. Avalie os testes da COPPA voltados para crianças e de conhecimento real, exceções e requisitos de consentimento dos pais. Não colete dados adicionais de idade ou identidade apenas porque um modelo sugere isso.

Alegações verdadeiras. A Seção 5 da Lei da FTC aborda práticas injustas e enganosas. Promessas de privacidade, capacidades do produto e depoimentos de clientes devem refletir a realidade. Recomendações pagas precisam de divulgação apropriada.

Cobrança recorrente. A ROSCA exige termos materiais claros, consentimento informado e um mecanismo de cancelamento simples para vendas com opção negativa online cobertas. Verifique também os requisitos de renovação estaduais aplicáveis. A página de regras da FTC distingue a elaboração de regras dos deveres existentes.

E-mail e mensagens de texto. E-mails comerciais e chamadas/textos de marketing automatizados têm regras diferentes. Configure informações precisas do remetente, detalhes de contato necessários, consentimento onde for exigido e opt-outs funcionais. Uma permissão para enviar e-mail não é automaticamente permissão para enviar textos de marketing.

Acessibilidade. O DOJ trata o acesso à web como parte dos serviços de acomodações públicas cobertos. O escopo legal e as soluções dependem do contexto. Combine verificações automatizadas com testes de teclado e tecnologia assistiva; consulte a orientação do DOJ.

Dados sensíveis. Os requisitos biométricos de Illinois e as regras de dados de saúde do consumidor de Washington podem alcançar atividades fora dos dados comuns de conta. Washington distingue o consentimento de coleta/compartilhamento de uma autorização separada para venda. Verifique a orientação do Procurador-Geral de Washington antes de adicionar inferências ou integrações de saúde.

Crianças, adolescentes e lojas de aplicativos

A COPPA concentra-se em serviços voltados para crianças e operadores com conhecimento real da coleta de menores de 13 anos, sujeitos às suas exceções. Uma tela de idade neutra não é um porto seguro universal para um produto voltado para crianças. A regra alterada da FTC tem um marco de conformidade em abril de 2026; use sua orientação atual para requisitos de consentimento dos pais, divulgação e retenção.

As regras de idade das lojas móveis têm ordens judiciais e lançamentos de plataforma em constante mudança. Não trate as datas de vigência originais do Texas, Utah ou Louisiana como evidência suficiente de implementação. Verifique o estado relevante e os requisitos atuais da loja para o seu lançamento. Consulte a orientação da FTC sobre a COPPA.

Se você recebe dinheiro

Imposto sobre vendas. Após Wayfair, os estados podem exigir que vendedores de fora do estado coletem impostos sobre vendas assim que ultrapassarem um limite de nexo econômico — mais comumente US$ 100.000 em vendas naquele estado em um ano, com alguns estados também contando o número de transações. Se SaaS e produtos digitais são tributáveis varia conforme o estado. Esta é uma questão para um contador, não para um advogado, e vale a pena perguntar antes de ter um problema, não depois.

Pagamentos. Use um processador (Stripe, Paddle, Lemon Squeezy ou similar) e nunca toque em números de cartão brutos — isso mantém você fora das obrigações mais pesadas do PCI DSS. Um comerciante de registro como o Paddle também assume a coleta de impostos sobre vendas, o que geralmente é a troca certa para um desenvolvedor solo.

Se os usuários publicam conteúdo

Duas coisas que valem a pena fazer no primeiro dia para qualquer site com conteúdo gerado pelo usuário:

• Registre um agente DMCA junto ao Escritório de Direitos Autorais dos EUA (uma pequena taxa, renovável a cada três anos) e publique os detalhes do agente em seu site. Sem o registro, você perde a proteção de porto seguro contra alegações de direitos autorais sobre o que seus usuários fazem upload.
• Publique regras de conteúdo claras e um processo de remoção, e siga-as de fato. A Seção 230 ainda protege plataformas de responsabilidade pelo conteúdo do usuário na maioria dos casos, mas suas próprias promessas de moderação são aplicáveis contra você sob a Seção 5.

O comando específico para os EUA

Execute isto após os dez comandos na lista de verificação principal:

Add United States compliance mechanics to this app. Implement each item and report what changed:

1. A "Your Privacy Choices" (or "Do Not Sell or Share My Personal Information") link in the footer of every page, leading to a page where a user can opt out of targeted advertising and of any sale or sharing of their data.
2. Detect the Global Privacy Control browser signal and treat it automatically as an opt-out for that user, without requiring any further action.
3. A privacy request form covering access, correction, deletion and portability, with an internal log recording each request's date, state of residence and outcome.
4. A US state rights section in the privacy policy, written as a general statement of rights rather than naming specific states — leave [[STATE-SPECIFIC DISCLOSURES]] as a placeholder for me to complete.
5. Inventory the intended audience and any age or parental-consent mechanisms. Implement the age flow I have selected after a COPPA scope assessment. Do not treat blocking a self-declared under-13 account as proof a child-directed service is compliant, or collect full birthdates without a need.
6. If we send marketing email: an unsubscribe link in every message, a postal address in the footer, and an unsubscribe that takes effect immediately without requiring login.
7. If we charge a recurring fee: the renewal date and amount shown before purchase and in account settings, plus a cancellation that completes in two clicks with no retention interstitial.

For each item, tell me PASS or explain what blocked it. Do not invent state law citations in any user-facing text.
Copiar prompt

Lista de verificação pré-lançamento — EUA

• A política de privacidade corresponde a um inventário de dados real, com um link "Suas Escolhas de Privacidade" se você fizer qualquer segmentação de anúncios
• Sinal de Global Privacy Control respeitado
• Triagem de idade em vigor; nenhum dado coletado de menores de 13 anos sem consentimento dos pais verificável
• Acessibilidade auditada de acordo com o WCAG 2.1 AA e problemas críticos corrigidos
• Termos de assinatura divulgados antes da cobrança; cancelamento em dois cliques
• E-mail possui cancelamento de inscrição e endereço postal; sem SMS de marketing sem consentimento por escrito
• Nenhum recurso biométrico sem aviso e consentimento por escrito
• Limites de imposto sobre vendas verificados com um contador para os estados onde você vende
• Agente DMCA registrado se os usuários puderem fazer upload de conteúdo
• Regras de banco de dados verificadas para que nenhum usuário possa ler os registros de outro usuário

O que as verificações de construção estabelecem

O cancelamento em dois cliques e os padrões de consentimento primeiro são escolhas de design. Verifique o escopo legal separadamente e teste a autorização, solicitações de direitos e faturamento com fluxos de teste reais. Um PASS do construtor não certifica conformidade.

Fontes oficiais e escopo da revisão

Atualizado em 14 de setembro de 2026. As fontes vinculadas suportam o escopo e as correções discutidas aqui; esta é uma revisão editorial, não uma opinião jurídica exaustiva ou uma certificação do seu produto. Verifique a regra vigente ao agir.

• Orientação da FTC sobre a COPPA
• Status da regra de opção negativa da FTC
• Acessibilidade web do DOJ
• Orientação sobre dados de saúde de Washington

Os EUA não são um livro de regras único — são um mapa. Comece com a lista de verificação pré-lançamento, execute o comando dos EUA acima e, em seguida, compare com a União Europeia, o Reino Unido, o Canadá, a Austrália, o Brasil e Israel se você vender lá. Você consegue construir isso.